الخلاصة

  • أطلق Klaas Wierenga فكرة eduroam من SURFnet عام 2002 على قاعدة مؤسسية واضحة: المؤسسة الأم تصادق على مستخدمها، أما المؤسسة المضيفة فتقرر ما إذا كانت ستمنحه الوصول إلى شبكتها وبأي شروط.
  • تنقل IEEE 802.1X وEAP وطبقات وسطاء RADIUS عملية المصادقة إلى موطن الحساب. وظيفتها بناء مسار للثقة، لا جمع كلمات مرور الجامعات في قاعدة مركزية.
  • أمكن للنظام أن يتوسع لأن المشاركين احتفظوا بسلطات أساسية، لكن ذلك أبقى عليهم أعباء تشغيلية مشتركة تشمل النطاقات والشهادات والوسطاء وتشخيص الأعطال والاستجابة للإساءة والموازنة بين الخصوصية والمساءلة.

نتيجة واحدة لا تجيب عن سؤالين

يمكن لخادم المؤسسة الأم أن يقول إن بيانات الاعتماد صحيحة. لا تعني هذه الإجابة أن الزائر يحق له استخدام كل مورد في الجامعة المضيفة. ويمكن للشبكة المضيفة أن تكون مستعدة لتقديم خدمة للزوار، لكنها لا تستطيع وحدها معرفة إن كان الشخص عضواً فعلاً في جامعة بعيدة. لذلك لا تبدأ بنية eduroam من نقطة اتصال لاسلكية، بل من فصل سؤال الهوية عن سؤال الإذن.

تشرح SURF ذلك بطالب من Delft يزور Cape Town. تعرف Delft الحساب، فيما تعرف الجامعة في Cape Town شبكتها. يُرسل طلب المصادقة من المكان المضيف إلى المؤسسة الأصلية، فتتحقق الأخيرة من بيانات الاعتماد وتعيد قبولاً أو رفضاً. بعدها تطبق المؤسسة المضيفة سياستها المحلية، بما فيها الجدار الناري والموارد المتاحة وشروط الاستخدام.

لو أن كل مضيف أنشأ حساباً مؤقتاً لانقلب الانتقال إلى سلسلة من التسجيلات. ولو امتلك مشغل عالمي كل الحسابات لانتهى الاحتكاك بثمن مركزة الهوية. اختار eduroam أن يبقى حق إبطال الحساب في جهة، وحق منع الاتصال في جهة أخرى.

رسالة سبقت الخدمة الدولية

يربط التاريخ الرسمي البداية بفريق التنقل في TERENA. ففي 30 مايو/أيار 2002 أرسل Wierenga، وكان يعمل في SURFnet الهولندية، مقترحاً للتجوال بين شبكات البحث والتعليم الوطنية. كان الباحثون والطلاب يتحركون أكثر بين المؤسسات، بينما بقيت هوياتهم الرقمية محصورة في الحرم الأصلي.

تذكر SURF أن Wierenga طلب من المتدرب Paul Dekkers تنفيذ تجربة للهوية الاتحادية. نجحت التجربة الهولندية، ثم شاركت SURFnet وUniversity of Southampton وFCCN البرتغالية وSrce في Zagreb في اختبار عابر للحدود، وتبعتها شبكات أخرى. تبنت GÉANT العمل للتوسع الدولي عام 2003، وأتاحت المشروعات الأوروبية تحويل النموذج إلى مواصفات وسياسات وأدوات تشغيل.

يدرج Internet Hall of Fame Wierenga بوصفه مخترع eduroam. ولا ينفي ذلك العمل الجماعي؛ فقد شددت GÉANT لاحقاً على أن مئات ثم آلاف الأشخاص ساهموا في البناء والتشغيل. تكمن مساهمته الشخصية في صياغة توزيع للثقة استطاعت مؤسسات مستقلة أن تقبله وتكرره.

لماذا لم يكن بوّاب الويب حلاً محايداً

يسجل RFC 7593 تجربة ثلاث عائلات تقنية. وفرت الشبكة الخاصة الافتراضية حماية جيدة، لكنها لم تقدم إدارة قابلة للتوسع بين مؤسسات كثيرة. وكان نشر البوابة المقيدة سهلاً نسبياً، لكنه لم يحمِ بيانات الاعتماد كما ينبغي. أما الجمع بين IEEE 802.1X وEAP وRADIUS فلبّى على نحو أفضل متطلبات الأمن والتوسع وقابلية النشر والمعايير المفتوحة.

تطلب البوابة المحلية من الزائر أن يضع كلمة مرور جامعته في صفحة لم يرها من قبل. يصعب عليه تمييز الصفحة الصحيحة من نسخة مزيفة، وحتى الصفحة السليمة تحصل على سر لا تحتاج إليه لكي تحدد صلاحياته المحلية. وكلما كبرت الاتحادية، ازداد عدد الشاشات التي يُطلب من المستخدم أن يثق بها.

مع طرق EAP داخل نفق أو EAP-TLS، تنشأ محادثة مصادقة محمية منطقياً بين الجهاز وخادم المؤسسة الأم. تمرر معدات الموقع والوسطاء الرسائل ثم تتلقى النتيجة. لا يلزم أن يروا كلمة المرور الخاصة. ومع ذلك لا تجبر النتيجة الإيجابية المضيف على فتح شبكته؛ فهي معلومة يعتمد عليها التفويض المحلي وليست أمراً فوق سيادته.

الهرم دليل طريق لا خزنة عالمية

يوجه جزء realm من الهوية الخارجية الطلب نحو نطاق المؤسسة الأصلية. ويمكن لوسطاء RADIUS أن يرفعوه من المستوى المؤسسي إلى الوطني والدولي ثم ينزلوه إلى الجهة المنزلية الصحيحة. يعرض RFC 7593 مثالاً ينتقل فيه الطلب من University of Tennessee عبر طبقة .edu والجذر و.nl وSURFnet قبل الوصول إلى صاحب قرار المصادقة.

يشبه ذلك DNS من حيث تقليل الحاجة إلى روابط ثنائية بين كل جامعتين. لكنه لا يجعل الطبقات العليا مالكة لهويات الجميع. يعرف الوسيط الطريق ويعبر رسالة الثقة، بينما تعرف المؤسسة الأصلية الحساب. وتعود النتيجة عبر المسار لكي تمارس الشبكة المضيفة قرارها.

وعليه، فقولنا إن بيانات الاعتماد «بقيت في البيت» وصف للحيازة والسلطة، لا ادعاء بأن رزم المصادقة لا تسافر. تعبر الرسائل الحدود، ويعالج الوسطاء معلومات لازمة للتوجيه، ويرى المضيف جلسة على شبكته. الذي لا يصبح ملكاً مشتركاً هو القدرة على فحص السر الخاص وإدارة دورة حياة الحساب.

ما لم تلغه اللامركزية

اعتمد الهرم الأول على مسارات ثابتة، وRADIUS فوق UDP، وأسرار مشتركة بين الجيران، ومزامنة يدوية. استطاعت نقاط التجميع أن تصبح اختناقات، وكان خطأ في realm أو إعداد وسيط كافياً لوقف مستخدم يحمل بيانات صحيحة.

لهذا احتاج الاتحاد إلى وثائق وفحص إعدادات ومراقبة وتشخيص وقياس وإجراءات لمعالجة الإساءة. وفي مراحل لاحقة سمح RADIUS فوق TLS والاكتشاف الديناميكي في RFC 7585 بتحسين الروابط تدريجياً بدلاً من يوم تحويل شامل. تطورت وسيلة النقل، وبقي الفصل بين المصادقة الأصلية والتفويض المحلي.

جاء التوسع من تحديد ما ينبغي ألا يُمركز. احتفظت كل مؤسسة بدليل أعضائها، لكنها قبلت واجهات ومسؤوليات مشتركة. ولم تكن الاستقلالية مجانية؛ فقيمة جواب المؤسسة الأصلية للغرباء تعتمد على تشغيل شهاداتها ووسطائها وسياساتها بدرجة يمكن الوثوق بها.

الخصوصية ليست غياباً كاملاً للأثر

تفترض المواصفة التقنية لعام 2006 أن بنية التجوال قد تكون غير مأمونة، وتضع حماية المعلومات الحساسة بين المستخدم والمؤسسة الأصلية مبدأً تصميمياً. وتقلل الهوية الخارجية المجهولة من قدرة موقع مضيف أو وسيط على ربط الاسم ذاته بجلسات متعددة.

لكن RFC 7593 يذكر التعارض مع تتبع الإساءة وتشخيص الأعطال. ترى الشبكة المضيفة النشاط الذي تحمله وتطبق قانونها المحلي، وتعرف المؤسسة الأم الحساب الذي صادقت عليه، وقد يكشف realm الانتماء حتى مع إخفاء اسم المستخدم. الحماية الدقيقة هي عدم تسليم كلمة المرور لكل وجهة، لا وعد بالاختفاء التام.

ما الذي جعله Wierenga قابلاً للتكرار

لم تكن 802.1X وEAP وRADIUS وأدلة الجامعات والشبكات اللاسلكية اختراعاته المنفردة. تمثل الابتكار في ترتيب هذه المكونات حول مبدأ مؤسسي: الجهة التي تعرف الشخص تحتفظ بسلطة الهوية، والجهة التي تملك المورد تحتفظ بسلطة الوصول، والاتحاد يجعل القرارين متوافقين عبر الحدود.

لم تعد الجامعة الجديدة مضطرة إلى نسخ كلمات المرور إلى مركز عالمي أو إعداد علاقة منفردة مع كل عضو سابق. كان عليها أن تصل حافتها بالهرم، وتلتزم القواعد، وتتحمل مسؤولية المعاملة بالمثل. لم تتحول الهوية المحلية إلى هوية مركزية؛ أصبحت قابلة للاستعمال من مكان بعيد.

المصادر

  1. eduroam، “From an idea to a global service”
  2. الأسئلة المتكررة لدى eduroam
  3. eduroam، “How does eduroam work?”
  4. GÉANT، Inter-NREN Roaming Technical Specification
  5. GÉANT، eduroam Policy Service Definition
  6. Internet Hall of Fame، Klaas Wierenga
  7. RFC 7585، Dynamic Peer Discovery for RADIUS/TLS
  8. RFC 7593، The eduroam Architecture for Network Roaming
  9. GÉANT، “Klaas Wierenga inducted into the Internet Hall of Fame”
  10. SURF، “eduroam: the killer app for the 21st-century internet”